【無料で読める】Log4Shell 2時間でlog4jの脆弱性を実際に体験できる本: Javaエンジニアにオススメ

著者より)
本書は、Apache Jamesというオープンソースのメールサーバーを使って、Log4Shellの体験手順書です。
Apache Tomcat等他のJavaアプリケーションサーバーでも同じ手法が使えます。ぜひ手に取って、実際に動きを確認してみてください。

本書では、2.16.0 で対応済みとなった「CVE-2021-45105, CVE-2021-45046」を扱っています。2021年12月31日現在、まだまだlog4jの脆弱性は落ち着いていません。なるべく早く、この脆弱性のインパクトを体感し、極めて問題がある動きであることを早く理解するようオススメします。

本文より)
本書は、話題の「Log4Shellと言われる脆弱性について実際に体験してセキュリティ防御技術を身に着けたい！」という方向けの本である。決して正真正銘のセキュリティ専門家向けではないことをお断りしておく。ある程度Linuxを使ったことがある方を前提としているが、セキュリティのことをちょっと学んでみたい、そんな方が軽い気持ちでさらっと体験して、さらっと「ゾッ」と事の重大性を2時間程度でわかってもらうための本である。

2021年12月。突如、「Log4j」に関する脆弱性が発表された。Log4jは、Javaの世界では定番中の定番のロギング用ライブラリであり、１０年、いや、２０年程度は歴史がある、誰もが「枯れている」と信じ切っていたライブラリであったが故に、この脆弱性発表は衝撃だったに違いない。あまりにも定番中の定番だったことと、そもそもこのライブラリが担当する内容というのは、ログをテキストに出力する、という単純極まりない内容である。そのため、殆どのJavaプログラマは、Log4jに脆弱性あるなんて、1ミリも考えたことはなかったはずだ。そもそもLog4jを使おうというとき、apache.orgに転がっているApache Log4j のライブラリをダウンロードするか、あるいはソースコードをダウンロードして、適当に自分のant/maven等のプロジェクトに取り込み、適当にビルドするというのが定番だ。適当にやって、適当に動いて、適当にずっと安定して動いてくれる代表ライブラリの一つが、この「Log4j」なのだ。

本書では、実際に脆弱性を利用した攻撃を実機で再現する手順をご紹介するとともに、いかにヤバいのか体験いただける本となっている。くれぐれも悪用は禁止である。読者に期待するのは、ここで得られた経験をもとに、自社や、自分のお客様への手厚いセキュリティ対応支援活動に役立てていただければ幸いである。

目次)
１. はじめに
２. Log4Shellとなにか
３. なにが「攻撃」になるのか
４. 狙われるのはWebサーバーだけか
５. Apache Jamesメールサーバーに「攻撃」して脆弱性を確認
５-１. CentOS7の準備
５-２. SSHでログインしてRoot化
５-３. Javaのダウンロードサイトhttps://openjdk.java.net/ へアクセス
５-４. JDK 11を入手ページにアクセス
５-５. Build 11+28のLinux/x64版をダウンロードするリンクを取得
５-６. Linuxに戻り、/tmpに移動後、wgetコマンドをインストール
５-７. JDK11をダウンロード
５-８. JDKを/opt以下に展開
５-９. lnコマンドで/opt/javaディレクトリを作成
５-１０. ~/.bash_profile ファイルにJAVA_HOMEとPATHの登録
５-１１. 一旦exitし、sudo su – でroot後java -versionコマンド実行
５-１２. Apache Jamesのサイトにアクセス
５-１３. ダウンロードページ
５-１４. 以前のバージョンがダウンロードできるページにアクセス
５-１５. zipファイルのダウンロードリンクをコピー
５-１６. Apache Jamesのダウンロードリンクを取得
５-１７. Linux画面に戻り、unzipコマンドをインストール
５-１８. Apache Jamesをダウンロード
５-１９. Apache Jamesを/opt以下に展開
５-２０. lnコマンドをつかって、パスを少しスマートに
５-２１. ~/.bash_profile ファイルにJAMES_HOMEとPATHの登録
５-２２. 25番ポートで動いているpostfixを確認し、完全に停止
５-２３. Apache Jamesを起動
５-２４. Apache Jamesのログの場所を確認
５-２５. lsofコマンドをインストール
５-２６. lsofでSMTPポート(25番)でリッスンしていることを確認
５-２７. example.netドメインを追加
５-２８. user1@example.netユーザ、パスワードをwelcomeで作成
５-２９. 悪意を仕込めるLDAPサーバーのgithubページを確認
５-３０. wgetコマンドで検証用のLDAPサーバをダウロード
５-３１. 攻撃内容を決定
５-３２. 削除されるテストファイルを作成
５-３３. LDAPサーバーを起動し、悪意のあるコマンドの仕込み
５-３４. SMTP-AUTHの認証トークンを生成
５-３５. telnet コマンドをインストール
５-３６. user1@example.net宛にメールを送信
５-３７. ログを確認し、今回の脆弱性の理解
５-３８. 攻撃開始
５-３９. ログを確認し、今回の脆弱性を突いた様子の理解
５-４０. リモートから送り込まれたコマンドが実行されたか確認
５-４１. LDAPサーバー側のコンソール画面を確認
５-４２. 攻撃が成功した後に
５-４３. 対処するための特効薬
５-４４. Apache James 3.6.1をダウンロード
５-４５. Apache James 3.6.1のLog4jのjarファイルを確認
５-４６. いま利用中の3.6.0のLog4jライブラリを3.6.1のLog4jで置換
５-４７. Apache Jamesを再起動し、新しいLog4jライブラリの読み込み
５-４８. 再び攻撃
５-４９. Log4jのjarは複数あるが、どれがキモか
６. まとめ
７. 著者プロフィール